Android网络安全配置

基础概念

HTTP

HTTP协议工作于 客户端-服务端架构上。通常，由HTTP客户端发起一个请求，建立一个到服务器指定端口（默认是80端口）的TCP连接。HTTP服务器则在那个端口监听客户端的请求。一旦收到请求，服务器会向客户端响应返回一个状态，比如"HTTP/1.1 200 OK"，以及返回的内容，如请求的文件、错误消息、或者其它信息。

HTTPS

HTTPS 全称 HTTP over TLS，是对工作在一加密连接（TLS 或 SSL）上的常规HTTP协议的称呼。

image

TLS 是在传输层上层的协议，应用层的下层，作为一个安全层而存在，翻译过来一般叫做传输层安全协议。

image

TLS 协议请查看 还没写

证书及认证过程请查看 证书、CA、证书信任链

对 HTTP 而言，安全传输层是透明不可见的，应用层仅仅当做使用普通的 Socket 一样使用 SSLSocket 。

TLS是基于 X.509 认证，他假定所有的数字证书都是由一个层次化的数字证书认证机构发出，即 CA。
TLS 是独立于 HTTP 的，任何应用层的协议都可以基于 TLS 建立安全的传输通道，如 SSH 协议。

从抓包说起

我们知道使用使用 HTTP网络监听工具（Fiddler，Charles等），都是需要在客户端安装根证书的（这里涉及证书的信任链，请查看 证书、CA、证书信任链）

而Android系统对于证书是分为，系统预装证书 和 用户安装证书。

image

Android 6.0（API 级别 23） 及更低版本，应用默认信任 系统预装证书和用户安装证书

Android 7.0（API 级别 24） 以后则默认仅信任 系统预装证书

cleartextTrafficPermitted 标识是否允许明文传输

https://developer.android.com/training/articles/security-config#CustomTrust
所以如果应用没有做特殊的配置，在 7.0 以上设备是无法监听到网络请求的。

证书配置

我们可以通过编辑配置文件来修改app的默认网络安全配置

首先，需要 在 manifest 处声明配置文件

    
        ...
    

然后就是编辑配置文件，是个xml文件，数据结构格式如下：

    
        
            
            ...
        
    

    
        android.com
        ...
        
            
            ...
        
        
            ...
            ...
        
    
    ...
    
        
            
            ...
        
    

• base-config，默认的配置，不在 domain-config 范围内的所有连接所使用的配置。
  • 证书集合，可包裹多个 证书
• domain-config。满足domain规则所使用的配置，可配置任意多个，domain-config的嵌套表示继承外层的配置规则。
  • 证书集合
  • 固定的证书，通过 expiration 配置过期时间，可包裹多个 证书
  • 域名规则，通过 includeSubdomains 配置是否支持子域名
  • 嵌套规则
• debug-overrides。android:debuggable = true使用，会将这个节点下的证书添加到其他配置上。
  • 证书集合

以上比较重要的是 和 这里特别提下他们的结构

• 
  // src 标识证书（如果是raw资源则必须以 DER 或 PEM 格式编码）
  具体转化请点击查看
  // overridePins 标识是否绕过证书固定，默认值为 "false"，除非在 debug-overrides 有特别指定

• 
  证书固定，需要 Base64编码的公钥SHA256摘要 Base64(SHA256(SubjectPublicKeyInfo))
  此处懵逼，详情请查阅 [https://stackoverflow.com/questions/40404963/how-do-i-get-public-key-hash-for-ssl-pinning]

base64 encoded digest of X.509
    SubjectPublicKeyInfo (SPKI)

通过命令可以获取到 pin

openssl s_client -connect xxx.com:443 -servername xxx.com | openssl x509 -pubkey -noout | openssl rsa -pubin -outform der | openssl dgst -sha256 -binary | openssl enc -base64

举个栗子，我想debug 模式信任所有证书，但release仅信任系统和特定的证书

具体请查阅官网验证
https://developer.android.google.cn/training/articles/security-ssl

开发者设置

这个时候我就有需求，我想要release的包是不信任用户证书的，但是又需要留个后门给自己调试。

比如：输入框输入特定代码证明我是开发者后，网络框架就取消对证书的验证，这样就可以通过安装用户证书来 监控调试 release包的https网络请求。

代码使用OkHttp实现，其他网络框架请自行google。

/**
 * 默认信任所有的证书
 */
@SuppressLint("TrulyRandom")
private static SSLSocketFactory createSSLSocketFactory() {
    SSLSocketFactory sSLSocketFactory = null;
    try {
        SSLContext sc = SSLContext.getInstance("TLS");
        sc.init(null, new TrustManager[]{new TrustAllManager()},
                new SecureRandom());
        sSLSocketFactory = sc.getSocketFactory();
    } catch (Exception e) {
    }
    return sSLSocketFactory;
}

private static class TrustAllManager implements X509TrustManager {
    @Override
    public void checkClientTrusted(X509Certificate[] chain, String authType)
            throws CertificateException {
    }

    @Override
    public void checkServerTrusted(X509Certificate[] chain, String authType)
            throws CertificateException {
    }

    @Override
    public X509Certificate[] getAcceptedIssuers() {
        return new X509Certificate[0];
    }
}

private static class TrustAllHostnameVerifier implements HostnameVerifier {
    @Override
    public boolean verify(String hostname, SSLSession session) {
        return true;
    }
}

  OkHttpClient client = new OkHttpClient.Builder()
          .sslSocketFactory(createSSLSocketFactory())
          .hostnameVerifier(new TrustAllHostnameVerifier())
          .build();

Reference

https://developer.android.com/training/articles/security-config
https://medium.com/@appmattus/android-security-ssl-pinning-1db8acb6621e
https://stackoverflow.com/questions/40404963/how-do-i-get-public-key-hash-for-ssl-pinning
https://www.jianshu.com/p/59a102f150aa

作者：cchao1024
链接：https://www.jianshu.com/p/dcfb61720413
来源：
著作权归作者所有，任何形式的转载都请联系作者获得授权并注明出处。